Zijn QR-codes veilig? Oplichting met QR-codes en hoe je die voorkomt

Hoe oplichting met QR-codes werkt

De truc is altijd dezelfde: een QR-code die er officieel uitziet, stuurt je ergens naartoe waar je niet op rekende. Veelvoorkomende varianten:

• Stickers over echte codes op parkeerautomaten, laadpalen, deelfietsen en deelscooters, restauranttafels of posters, die naar een nepbetaalpagina leiden.
• E-mails en brieven met een QR-code (“Je pakket ligt klaar”, “Bevestig je bankrekening”, “Je wachtwoord verloopt vandaag”) die naar een neppe inlogpagina leiden.
• Nepboetes of nepfacturen achter de ruitenwisser of in de brievenbus, met een code om te betalen.
• Codes die meer doen dan een pagina openen: een gesprek of sms starten naar een betaalnummer, verbinding maken met een onbekend wifinetwerk of een app installeren.

Voordat je een gescande link opent

Je telefoon laat het adres zien voordat het opent. Neem twee seconden om het te lezen.

• Klopt het adres met wie het zegt te zijn? Een bank, parkeerbedrijf of winkel hoort zijn eigen bekende domein te gebruiken, niet een vreemde naam, willekeurige letters of een spellingstruc zoals paypa1.
• Is het een verkorte link (bit.ly en dergelijke) bij iets waarvoor je moet betalen? Wees extra voorzichtig, want je ziet de echte bestemming niet.
• Is de code een sticker op een andere code? Kijk goed, vooral bij alles waarmee je zou betalen.
• Kwam hij onverwacht per e-mail, brief of sms? Scan hem niet. Ga zelf naar de website of app van het bedrijf.

Waarschuwingssignalen na het openen

• De pagina vraagt om je wachtwoord, pincode, kaartnummer of inloggegevens van je bank terwijl je alleen een menu wilde lezen of het parkeren wilde betalen.
• Er wordt druk gezet: “Betaal binnen 24 uur”, “Je account wordt gesloten”.
• Er wordt gevraagd een app te installeren of een “beveiligingsupdate” uit te voeren.
• Er opent een sms of gesprek naar een nummer dat je niet kent.

Voor betalingen op openbare plekken is de officiële app van de exploitant of de betaalautomaat zelf de veiligste weg, niet een code die je niet kunt controleren.

Als je je gegevens al hebt ingevuld

1. Kaart- of bankgegevens: bel meteen je bank en laat de kaart blokkeren. Controleer recente betalingen.
2. Een wachtwoord: wijzig het op de echte website en overal waar je hetzelfde wachtwoord gebruikte. Zet tweestapsverificatie aan.
3. Een app geïnstalleerd: verwijder hem en voer de beveiligingscontrole van je telefoon uit.
4. Meld het bij het bedrijf dat werd nagebootst en bij de politie of de Fraudehelpdesk (fraudehelpdesk.nl) in Nederland; in België bij Safeonweb. Laat ook de eigenaar van de plek weten waar je een nepsticker vond.

Voor bedrijven: maak QR-codes die mensen kunnen vertrouwen

Nu oplichting bekender wordt, aarzelen voorzichtige klanten om te scannen. Met deze gewoontes zien je codes er betrouwbaar uit en blijven ze dat:

• Laat codes naar je eigen domein wijzen (jouwwinkel.nl/menu), zodat het adres dat mensen zien duidelijk van jou is.
• Zet het webadres ook naast de code, zodat mensen het kunnen vergelijken. Met de optie “Omschrijving” in de generator kun je tekst onder de code afdrukken.
• Gebruik statische codes. Codes van dynamische QR-diensten lopen via de server van iemand anders, die later andere inhoud kan tonen. Zie statische en dynamische QR-codes.
• Zet je logo in de code (instellingen van de generator → Logo), zodat een kale sticker eroverheen opvalt.
• Maak knoeien lastig: zet codes achter glas of lamineer ze, of druk ze af als deel van het bord in plaats van als losse sticker.
• Controleer openbare codes regelmatig, vooral alles wat met betalen te maken heeft, en scan ze af en toe zelf.
• Vraag nooit om wachtwoorden of kaartgegevens op de pagina die een code opent, tenzij de klant duidelijk verwacht daar te betalen.

Meer: zo scan je een QR-code op iPhone en Android.

Wil je zien waar een code naartoe leidt zonder hem te openen? Plak een schermafbeelding in de QR-codelezer.